OpenVPN bezeroen helbide estatikoak OPNsense atzean
Pool fitxategi batek helbidea itsaskor egiten du, ez iraunkor. Finkatu bezeroen helbideak gainidazketekin, zabaldu tunelaren barrutia /30 aritmetikarako, eta gero argitaratu.
Izenek mugitzen ez diren helbideak behar dituzte, eta OpenVPNren pool fitxategiak helbidea itsaskor soilik egiten du. Galdu fitxategi hori, edo berrargitaratu ziurtagiria beste izen komun batekin, eta itzultzen den bezeroa poolean beste leku batean lurreratuko da, bere DNS erregistroa oraindik helbide zaharrean seinalatzen duen bitartean. Erantzun iraunkorra helbidea finkatzen duen bezeroaren berariazko gainidazketa da, tunel sare zabalago batekin, finkatutako helbideak barruti dinamikotik kanpo egon daitezen. Zabalpen horren atzeko aritmetika da nahasmenaren zatirik handiena bizi den lekua.
OPNsense-k gainidazketa horiek zerbitzariaren bezeroaren berariazko ezarpenetan gordetzen ditu, ziurtagiriaren izen komunarekin gakotuta, eta horrek izen komuna helbide planaren parte bihurtzen du.
Errentamendu itsaskorra ez da helbide estatiko bat
Pool fitxategiak helbidearen eta bezeroaren arteko mapak idazten ditu eta bezero ezagun bat berriro konektatzen denean itzultzen ditu. Hori erosotasuna da, ez kontratu bat: fitxategia berriro sor daiteke, mapa desagertu egiten da bezeroaren identitatea aldatzen denean, eta poola partekatzen duten bi zerbitzarik ez dute horretan ados egongo. Bezeroaren berariazko gainidazketa desberdin funtzionatzen du, helbidea historiatik baino konfiguraziotik baitator. Berrabiarazteari eta gailuaren berrinstalazioari ere eusten die, gainidazketa konfigurazioaren gainerakoarekin batera babestuta badago.
Alternatiba dinamikoak, VPN-a bezeroaren konexio script batekin eta eguneratze dinamikoekin DNS-ra konektatzeak, funtzionatzen du, eta eguneratzeak onartzen dituen ebazlea eta konexio bakoitzean script bat eskatzen ditu. Gailu batean saltzaileak bidaltzen dituen paketeetara mugatuta zaude, eta normalean hor gelditzen da plan hori.
Inork gozatzen ez duen /30 aritmetika
Lehenetsitako net30 topologiarekin, bezero bakoitzak bere /30-a jasotzen du: lehen helbide erabilgarria zerbitzariaren aldera doa, eta bigarrena bezeroarenera. Beraz, gainidazketek zerbitzariaren tunel sare dinamikotik kanpo egon behar dute, eta horrek esan nahi du sare hori lehenengo zabaldu behar dela. 10.8.0.0/24-n dagoen zerbitzari bat 10.8.0.0/23-ra pasa daiteke, barruti zaharrenaren erdia bezero dinamikoentzat utzita eta beste erdia gainidazketentzat. Gehitu jatorrizko /24a IPv4 sare lokal gehigarri gisa, bi erdietarako trafikoa tunelera bidera dadin.
Gainidazketa helbide bakoitzak /30 muga batean erori behar du, beraz azken oktetoa lauren multiploa da. 10.8.1.0-n dagoen /30 batek 10.8.1.2 ematen dio bezeroari, eta hori da DNS erregistroak daraman helbidea. Horren ordez 10.8.1.3 aukeratzeak konektatzen den baina trafikoa pasatu ezin duen bezeroa sortzen du, helbidea topologiak inoiz esleitu ez zion azpisare batekoa baita.
Plana errazago mantentzen da gainidazketak barruti zabalduaren goialdetik behera esleitzen badira, pool dinamikoa espazio librera hedatzen baita, uharte finkoen inguruan egin beharrean.
Sare lokalak eta bezeroek galdetzen duten zona
Bezeroen arteko trafikoak bere baimen propioa behar du. Zerbitzariaren IPv4 sare lokalen zerrendak barrutiaren bi erdiak sartu behar ditu, dinamikoa eta estatikoa; hori gabe zerbitzariak bezero baten paketea onartzen du eta ez du beste batera pasatzen uzteko politikarik. Sintomak DNS hutsegitea dirudi, izena ebazten baita eta konexioak huts egiten jarraitzen baitu. Egiaztatu aldi berean bezeroen arteko ezarpena, sare lokaleko sarrera batek soilik ez baitu parekoen arteko birbidalketa gaitzen.
Argitaratu erregistroak urruneko bezeroek benetan galdetzen duten zonan. LAN ebazleak soilik zerbitzatzen duen zonako erregistro bat ikusezina da bultzatutako ebazlea beste leku batera seinalatzen duen bezeroarentzat, eta zona okerrean erregistro gehiago gehitzeak ez du inoiz konponduko. Berretsi bultzatutako DNS aukera eta bilaketa domeinua ezer gehitu aurretik.
Zer egiaztatu konexio berri batean
Berriro konektatu bezeroa eta berretsi esleitutako helbidea bere gainidazketarekin bat datorrela beste ezer probatu aurretik. Gero ebatzi izena bigarren bezero batetik eta konektatu zerbitzura izenaren bidez, eta horrek DNS erregistroa, ibilbidea eta suebakia batera probatzen ditu. Berretsi erantzun-ibilbidea zerbitzariaren aldean, izena ebazten den bitartean zerbitzua iristezin jarraitzea bideratze edo politika arazoa baita, ez izenen arazoa. Eutsi gainidazketa taula ziurtagirien zerrendaren ondoan, biak batera berrikus daitezen.
Beste izen komun batekin berrargitaratutako ziurtagiria ez da bere gainidazketarekin bat etortzen eta bezeroa pool dinamikora itzultzen du. Espero hori edozein identitate aldaketaren ondoren.